En bref : si Google, votre navigateur, votre hébergeur ou un client vous alerte au sujet de votre site, du code étranger tourne très probablement sur votre serveur. Si vous êtes concerné, contactez-nous maintenant. Nous clarifions à distance ce qui est diffusé, sécurisons les traces, supprimons le code malveillant, fermons l'accès et vous accompagnons jusqu'à la nouvelle validation.
Ne supprimez rien et ne réinstallez rien pour l'instant. Si nécessaire, mettez le site en mode maintenance afin de protéger les visiteurs, et laissez les fichiers et les journaux inchangés. Signaler une urgence, et nous prenons le relais dès le premier message.
Êtes-vous concerné ? Comment se manifeste un site qui diffuse des malwares
Un site qui diffuse des logiciels malveillants ou du spam se remarque rarement par un défaut visible. Le plus souvent, ce sont d'abord d'autres personnes qui se manifestent. Indices typiques :
- Le navigateur affiche devant votre domaine une page d'alerte rouge, par exemple « Deceptive site ahead » ou un message sur des logiciels nuisibles.
- La Google Search Console affiche un message de sécurité, ou votre page apparaît dans les résultats de recherche avec la mention « Ce site peut endommager votre ordinateur ».
- Des visiteurs signalent des fenêtres pop-up, des redirections inattendues ou des téléchargements qui n'apparaissent que sur mobile ou seulement après un clic depuis la recherche.
- Vos résultats de recherche montrent des pages que vous n'avez jamais créées, par exemple de la publicité pour des médicaments ou des jeux d'argent dans une langue étrangère.
- Votre hébergeur vous écrit à propos d'abus, d'envoi de spam ou de connexions sortantes inhabituelles.
- Les e-mails de votre entreprise atterrissent dans le spam chez le destinataire, ou beaucoup d'erreurs de remise reviennent.
- Votre antivirus ne signale rien, mais les plaintes ne cessent pas pour autant.
Plusieurs de ces points ensemble plaident fortement pour une compromission. Un indice isolé peut aussi avoir une cause anodine. Faites-le vérifier malgré tout, car chaque jour avec une page d'alerte coûte des visiteurs, des demandes et de la confiance.
Ce que vous faites tout de suite
- Protéger les visiteurs : mettez le site en mode maintenance ou faites-le bloquer temporairement par l'hébergeur si du code malveillant est activement diffusé.
- Ne rien supprimer : aucun fichier retiré, aucune sauvegarde restaurée, aucune réinstallation par-dessus l'ancien état avant que tout ait été sécurisé.
- Conserver les journaux : demandez à votre hébergeur de ne pas écraser les journaux d'accès et d'erreurs.
- Rassembler les signalements : faites des captures d'écran des avertissements, notez la date, l'heure et les adresses concernées.
- Désigner les accès : qui a accès via le CMS, FTP, SSH ou le panneau d'hébergement ? Ne changez les mots de passe qu'après concertation et uniquement depuis un appareil sain.
- Informer en interne : la direction, le délégué à la protection des données et, si vous avez une police, l'assureur devraient être au courant.
- Ne pas encore déposer de demande auprès de Google : un réexamen n'est utile qu'après le nettoyage.
Comment PHP SOS aide-t-il concrètement ?
- Faire le point : nous clarifions quels avertissements existent, depuis quand, et quels systèmes et données peuvent être concernés.
- Sécuriser et fermer : nous sécurisons les fichiers, la base de données et les journaux avant toute modification. Ensuite, nous bloquons les accès suspects et arrêtons la diffusion du code malveillant.
- Examiner et nettoyer : nous comparons les fichiers avec un état sain, recherchons les webshells, les portes dérobées et les entrées dans la base de données, et nous les supprimons. Plus d'informations sous Faire supprimer les logiciels malveillants et les webshells.
- Durcir et rendre compte : nous fermons la porte d'entrée, vérifions l'état de PHP et documentons l'incident. Nous vous accompagnons pour la levée des blocages et des avertissements.
Nous travaillons à distance, sans déplacement, partout en Allemagne et en Europe.
Pourquoi l'avertissement revient souvent
Qui n'élimine que les traces visibles traite le symptôme. Les attaquants créent généralement plusieurs accès : un fichier PHP caché dans un dossier d'envoi, un plug-in manipulé, un compte administrateur supplémentaire ou une tâche cron planifiée qui recharge les fichiers supprimés. Si vous ne nettoyez que la page que montre le navigateur, le même code malveillant est de retour quelques jours plus tard.
À cela s'ajoute que de nombreux parasites masquent leur comportement. Ils ne diffusent le code malveillant qu'aux visiteurs qui arrivent par un moteur de recherche, ou seulement aux appareils mobiles. Le propriétaire ouvre la page directement et ne voit rien. L'article Le site redirige vers des sites étrangers décrit comment naissent de telles redirections, et la page Limites des scanners de logiciels malveillants explique pourquoi les scanners atteignent ici leurs limites.
Avertissement Google et spam dans l'index de recherche
Si Google a marqué votre site comme dangereux, la levée passe par la Search Console. Vous y demandez un réexamen dès que le serveur est démontrablement sain. Le guide Faire retirer l'avertissement de Google explique quelles étapes sont judicieuses. Si des attaquants ont en outre créé des pages de spam en votre nom, leur retrait de l'index en fait partie ; vous trouverez des indications dans Spam SEO dans l'index de Google.
Si votre serveur envoie du spam, c'est généralement un formulaire, un script ou un compte de messagerie qui a été détourné. Il vaut alors la peine de consulter Le serveur envoie du spam, car la réputation de votre domaine et de votre adresse IP pâtit de chaque e-mail supplémentaire.
Comment les webshells se manifestent, lisez-le sous Reconnaître une webshell. Depuis PHP2Shell, une question supplémentaire se pose : une mise à jour ferme la faille, mais ne supprime pas un logiciel malveillant déjà présent. Cela vaut aussi bien selon l'évaluation du BSI (l'office fédéral allemand de la sécurité des technologies de l'information) que selon la presse spécialisée.
Ce que vous devriez nous envoyer
- les messages dans leur formulation exacte ou sous forme de capture d'écran, avec la date
- les adresses concernées et, si elles sont connues, les voies d'accès (panneau d'hébergement, SSH, CMS)
- les noms de l'agence, des développeurs et de l'hébergeur qui connaissent le système
- des indications sur ce qui a été modifié en dernier : mises à jour, nouveaux plug-ins, nouveaux collaborateurs ayant des accès
- des indications sur les sauvegardes et leur ancienneté
- une personne habilitée à décider, qui soit joignable
Des informations incomplètes ne sont pas un obstacle. Nous demandons ce qui manque.
Pourquoi PHP SOS
Nous sommes un prestataire Made in Germany et, avec notre réseau de partenaires de professionnels de la cybersécurité, nous sommes spécialisés depuis plus de 25 ans dans la sécurité informatique. Vous avez un interlocuteur fixe, nous travaillons à distance et documentons chaque étape, de sorte que vous disposez de preuves face à l'hébergeur, à l'assureur et aux clients. Nous ne promettons rien que personne ne puisse tenir, et disons ouvertement ce qui est établi, probable ou inconnu. Nous ne fournissons pas de conseil juridique ; les questions de responsabilité et d'obligations de notification relèvent du délégué à la protection des données et de l'avocat.
Vous êtes concerné ? Appelez-nous. Nous vous aidons.
Si votre site alerte les visiteurs, diffuse du code malveillant ou envoie du spam, chaque jour où il reste ainsi en ligne compte. Contactez-nous maintenant : appelez-nous ou écrivez-nous sur WhatsApp. Nous prenons le relais dès le premier message et restons à vos côtés jusqu'à ce que l'incident soit clos et documenté. Signaler une urgence maintenant
Questions fréquentes
Pourquoi le navigateur affiche-t-il un avertissement concernant mon site ?
Les navigateurs s'appuient sur des listes de sites dangereux connus. Si votre domaine y figure, le navigateur bloque l'accès avec une page d'alerte rouge. Derrière, il y a généralement du code étranger sur le serveur, qui redirige les visiteurs ou recharge des logiciels malveillants.
Suffit-il de signaler l'avertissement comme réglé auprès de Google ?
Non. Une demande de réexamen auprès de Google n'est utile que si le code malveillant a été entièrement supprimé au préalable et la porte d'entrée fermée. Sinon, l'avertissement réapparaît peu après, et une demande rejetée fait perdre du temps.
Mon antivirus ne trouve rien, mais l'avertissement persiste. Pourquoi ?
Les scanners reconnaissent surtout des schémas connus. Un code malveillant qui n'est diffusé qu'à certains visiteurs, moteurs de recherche ou appareils reste souvent indétecté. Seuls une comparaison des fichiers avec un état sain et l'analyse des journaux aident alors.
Pourquoi les e-mails de mon entreprise atterrissent-ils soudain dans le dossier spam ?
Si votre serveur ou votre compte a été détourné pour envoyer du spam, la réputation de votre domaine et de votre adresse IP baisse. Les serveurs destinataires classent alors vos e-mails comme suspects. La réputation ne peut être reconstruite qu'après le nettoyage.
Puis-je simplement mettre mon site hors ligne ?
Oui, et lorsque du code malveillant est activement diffusé, c'est souvent judicieux pour protéger les visiteurs. Ne supprimez toutefois rien à cette occasion. Les journaux et les fichiers montrent comment l'attaquant est entré.